CVE-2026-104704 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Progressive Robot hMailServer 6.0.0 bis 6.3.5 erzwingt kein TLS für die SMTP-Auslieferung an einen Mail-Exchanger, dessen DNSSEC-validierte TLSA-Einträge keinen DANE-EE-Eintrag (Usage 3) enthalten, was im Widerspruch zu RFC 7672 Abschnitt 2.2 steht. Der Server verwendete ausschließlich DANE-EE-Einträge und behandelte eine validierte TLSA-Eintragesammlung, die aus DANE-TA-Einträgen (Usage 2) oder anderweitig unbrauchbaren Einträgen bestand, so, als wären keine Einträge veröffentlicht worden; daher fiel die Zustellung an einen solchen Host auf opportunistisches TLS zurück. Ein Angreifer mit einer aktiven Position im Netzwerkpfad zwischen dem Server und dem Mail-Exchanger des Empfängers kann die STARTTLS-Aushandlung unterdrücken oder stören und dazu führen, dass Nachrichten im Klartext zugestellt werden, wo sie gelesen und modifiziert werden können.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.